El seminario discute la importancia y complejidad de la evidencia digital, incluyendo que el 90% de la documentación comercial es ahora digital, y que es frágil, perenne, se duplica fácilmente y puede ser alterada sin ser detectado. Se enfatiza la necesidad de establecer una cadena de custodia para preservar la validez de la evidencia digital.

1. Seminario
30/10/2012
Dr. Martín Francisco Elizalde
Lic. Gabriel Fernando Paradelo

2.  90% de la documentación
comercial es digital – un
estanque profundo.
 Y tiene tiene valor de
prueba.
 Y no sé muy bien cómo
manejarlo.
 Contexto

3.  Es frágil
 Es perenne
 Se duplica solo
 Es complejo
 Se altera sin que se
vea
 Siempre se sabe si
se altera.

4.  Trespreguntas antes de empezar:
 Cuáles documentos quiero usar?
 Dónde están?
 Qué es lo que quiero probar?
 Quién, cuando y cómo los recolectaron?

6.  Notificara la contraria: me olvidé
 Es urgente: en realidad no me
parece para tanto
 Es simple: para quién es simple?
 Lo puedo repetir:
bueno, eso creo
 Cadena de custodia:
de qué?

7.  Inspeccione el medio de
almacenaje y saque fotos.
 Establezca una base de
contenidos para que sea
autenticados calculando el “hash
value” para cada elemento.
 Proteja la prueba: haga varias
copias y guárdelas por separado.
 Determine cada persona que
física ó electrónicamente acceda
a la data.

9.  Indexe.
 Identifique.
 Evalúe.
 Exporte.
 Presente.
 Elimine.

11.  La naturaleza y especificidad del reclamo
 La posición de quien hace el reclamo
 Si la amenaza de litigio es implícita, directa, o
inferida
 Si el reclamante tiene una historia de
investigaciones / reclamos / mediaciones / litigios
 El valor y el peso del reclamo comparado con la
jurisprudencia, resoluciones administrativas, etc.
 La similitud del reclamo con otros y que resolución
se dio a esos casos análogos
 La posibilidad de que si la data no es especialmente
conservada, se perderá

12.  Denuncias
 Demandas
 Cartas documento
 Correos electrónicos certificados
 Notificaciones en gral. con aviso de recibo
 Reclamos relacionados con Defensa del
Consumidor / Lealtad Comercial
 Accidentes laborales
 Investigaciones internas
 Siniestros

13.  Guardar para probar no es hacer backup
– ni se le parece.
 Establezca responsable y
responsabilidades
 Avise a los custodios para que no
deterioren la evidencia
 Elimine la que no usará en juicio – esa
moda no vuelve…

14.  No escaneen la data que debemos preservar.
 Viejos mails pueden ser borrados por algoritmos
o herramientas automáticas de reducción de
data.
 Problemas mecánicos, o físicos, que producen
daños a la información.
 A veces simplemente apagar un aparato, o no
usarlo por un tiempo puede ser nefasto.
 En general: apártense de las fuentes de
información. Dejen trabajar a los expertos, que
son neutrales.

15.  Mails
 La página web
 Data base
 Hard drive
 Programas
 Teléfonos celulares
 Presentaciones
 Fotocopiadoras
 Cámaras
 Videos- y mucho más

16.  Naturaleza de una
prueba: Bunker vs IBM
 Data, lo que se escribe
no se borra.
 Metadata, el adn.
 Contexto, siempre
contexto.

17. Lo posteo el dueño
Lo posteo un usuario con el
consentimiento del dueño (chat
room)
Lo posteo un tercero sin su
consentimiento (un hacker!)

18.  Cuánto tiempo estuvo posteado el contenido?
 Terceros reportan haberlo visto
 Todavía están, VS los puede verificar? No se olviden
de las páginas de búsqueda de resultados.
 Eran del tipo que usualmente se encuentra en ese
sitio?
 El dueño del sitio los reposteó en otras páginas?
 Terceros los repostearon en otras páginas, en todo o
en parte?
 Contactaron el web master?

19.  Quién usó un seudónimo, se identificó con
él en otro chat- y usó información única,
como la dirección de correo.
 Convenir un encuentro en el que aparece
 Probar que el ordenador de una persona
es el mismo desde el que se mandaban los
posts, usando el seudónimo
 Probar que quien usaba el seudónimo,
tenía información que se mencionaba en
los textos

22. Variedad, características,
cuidados y detalles

26. Con la ayuda de
sistemas
especializados
es posible
procesar
grandes
volúmnes de
información y
encontrar la
información
relevante

27. Manejadas adecuadamente, las copias tiene
gran valor para análisis y resguardo.

28. La manipulación debe conservar la validez
“matemática” de la prueba.

29.  Siyo lo envié, es difícil utilizarlo como
prueba. Sirve de poco:
• Impresión
• Correo en copia
• Mensaje guardado
• Falta de aviso de rebote
• Desconocimiento de archivos adjuntos
 Siyo lo recibí, es más valioso como
prueba, porque la metadata me ayuda
 Alternativa: correo certificado

30. Utilidad de la información
Relevante 5%
al 35%
Irrelevante

32. Reenvíos, Fecha y hora, aplicaciones
involucradas

33. Ubicación

34.  Ubicación
 Vínculo con
otros
servicios y
usuarios
 Referencias

35. Cuidando la cadena de custodia
… o no tanto

36.  Tener cuidado con
• Pericias no reproducibles
• Lo simple no tan simple
• Notificar a la otra parte
 Buenas prácticas
• Registrar fecha y hora de toma y uso de la
información
• Registrar herramientas informáticas utilizadas
• Usar bloqueadores de escritura
• Trabajar sobre copias forenses

37.  Uso de herramientas informáticas en el
trabajo.
 Fecha de inicio del vínculo laboral.
PERICIA INFORMÁTICA
 Correos electrónicos alojados en el
servidor de “Google”
 Imposibilidad de modificar el contenido
de los mismos
 Acreditación de que el dependiente
ingresó a prestar labores en la fecha
denunciada en la demanda

38. Cómo preservarla y limpiarla

39.  Resultadosno deseados aparecen en la
primera página de Google
 Una broma que termina en pesadilla

40.  Herramientas disponibles para requerir
actualización de cache y resultados de
búsqueda
 Hay que saber utilizarlas
 Fomentar la importancia de los
resultados positivos
 Redactar y vincular nuevos contenidos
relevantes

41. Dr. Martín Francisco Elizalde
melizalde@foresenics.com.ar
Lic. Gabriel Fernando Paradelo
gparadelo@foresenics.com.ar